CrowdStrike pada 29 Oktober 2026 melaporkan bahwa kelompok yang dilacaknya sebagai Vapor Panda memakai ARTEX, kerangka uji penetrasi berbasis agen AI, untuk menyerang lebih dari 200 organisasi di sedikitnya 14 negara. CrowdStrike menilai kelompok ini berbasis di Tiongkok dan didukung negara. Kampanye dimulai sekitar 17 Oktober 2026 dan masih berjalan ketika laporan terbit.
Cara kerja ARTEX dan siapa yang disasar
ARTEX ditulis dalam bahasa Go. Menurut CrowdStrike, kerangka ini memakai model DeepSeek dan satu model komersial yang belum teridentifikasi. Agen perencana dan agen pekerja membagi tugas, sementara operator manusia mengarahkan di titik keputusan. Setelah berhasil masuk, kelompok ini memasang BLOODALCHEMY, turunan malware ShadowPad. Aktivitas pasca-eksploitasi dipastikan di sembilan organisasi. Organisasi lain, termasuk lembaga kajian di Amerika Serikat dan instansi pemerintah di Eropa, hanya menjadi sasaran penebakan kata sandi dan pemindaian kredensial. Laporan yang kami baca tidak menyatakan apakah ada yang berhasil ditembus.
Sasarannya mencakup kementerian luar negeri di Amerika Latin, Eropa, Asia, dan Timur Tengah, 19 organisasi di Amerika Serikat dari sektor farmasi, semikonduktor, pertahanan, nuklir, dan keuangan, serta operator telekomunikasi di Amerika Serikat, Belgia, dan Filipina. Laporan tidak menyebut korban di Indonesia. Tidak ada nomor CVE dalam laporan ini. Salah satu rantai serangan yang dijelaskan CrowdStrike menggabungkan pernyataan SAML tanpa tanda tangan dengan celah XXE untuk menjangkau layanan metadata cloud, lalu naik ke hak akses administrator. Pada kasus lain, kunci autentikasi yang tidak pernah dirotasi sejak 2022 dipakai untuk memalsukan token admin.
Yang masih belum jelas
Semua angka berasal dari CrowdStrike, vendor yang juga menjual sensor endpoint yang direkomendasikannya. Perusahaan tidak menyebut nama korban, dan atribusi ke Tiongkok adalah penilaian CrowdStrike sendiri. Media lain menulis angka berbeda: CyberScoop menyebut sekitar 140 target dibobol, jauh di atas sembilan organisasi yang dipastikan. Pembaca sebaiknya memperlakukan angka korban dengan hati-hati sampai ada konfirmasi independen. Pemakaian agen AI dalam serangan juga bukan hal baru di situs ini, seperti pada kasus Chainalysis yang diretas dengan teknik agentik.
Langkah yang perlu diambil administrator
Ringkasan laporan CrowdStrike menganjurkan beberapa langkah. Rotasi kunci penandatanganan dan kredensial setelah paparan apa pun, termasuk yang tersimpan di ekspor direktori dan cadangan lama. Wajibkan validasi tanda tangan SAML. Aktifkan IMDSv2 untuk layanan metadata di cloud. Pasang perangkat deteksi endpoint di setiap server, lalu telusuri log dengan indikator yang diterbitkan CrowdStrike. Tim keamanan di instansi pemerintah, operator telekomunikasi, dan perusahaan yang memakai SAML atau cloud publik perlu memeriksa apakah ada kunci lama yang belum diganti.
Sumber: The Hacker News dan CyberScoop. Gambar: The Hacker News.